Java中如何全面防范最新XSS攻击？

本文共计3381个文字，预计阅读时间需要14分钟。

前端XSS防护属性属于前端还是后端的职责+XSS防护是后端+RD（研发人员）的职责，后端RD应该在所有用户提交数据的接口，对敏感字符进行转义，才能进行下一步操作。所有需要插入到页面中的内容

前沿

XSS防范属于前端还是后端的责任 ?

XSS 防范是后端 RD（研发人员）的责任，后端 RD 应该在所有用户提交数据的接口，对敏感字符进行转义，才能进行下一步操作。

所有要插入到页面上的数据，都要通过一个敏感字符过滤函数的转义，过滤掉通用的敏感字符后，就可以插入到页面中。

公司的搜索页面如果你是下面的写法。那么他可能存在Xss注入

<input type="text" value="<%= getParameter("keyword") %>"> <button>搜索</button> <div> 您搜索的关键词是：<%= getParameter("keyword") %> </div>

1. 什么是xss攻击？

Xss 即（Cross Site Scripting）中文名称为：跨站脚本攻击。XSS的重点不在于跨站点，而在于脚本的执行。

1.1 原理
恶意代码未经过滤，与网站正常的代码混在一起；浏览器无法分辨哪些脚本是可信的，导致恶意脚本被执行。而由于直接在用户的终端执行，恶意代码能够直接获取用户的信息，或者利用这些信息冒充用户向网站发起攻击者定义的请求。

1.2 分类
Xss攻击最主要有如下分类：反射型Xss(非持久型)、存储型Xss(持久型)和DOM Xss。